Katalog podatności CVE
Przetłumaczone opisy podatności z bazy NVD NIST - w języku polskim
Przeglądaj podatności według pakietuKatalog CISA KEV zaktualizowany: (v2026.09.04)
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Wielokrotne podatności na wstrzykiwanie SQL w PEARLINGER Pearl Forums 2.4 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametrów (1) forumsId i (2) topicId w pliku index.php.
Podatność typu SQL injection w pliku index.php w oprogramowaniu Poll Software w wersji 0.4 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) pollid lub (2) previouspoll.
Podatność SQL injection w pliku index.php w Zina w wersji 0.12.07 i wcześniejszych umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametr p.
Wielokrotne podatności na wstrzykiwanie SQL w VUBB alpha rc1 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez parametry (1) f w viewforum.php, (2) t w viewtopic.php oraz (3) view w usercp.php.
W Apple Quicktime przed wersją 7.0.4 występuje przepełnienie bufora w stercie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez spreparowany plik obrazu w formacie (1) QuickTime Image File (QTIF), (2) PICT lub (3) JPEG z długim polem danych.
W pliku login.php w systemie PCXP/TOPPE CMS zdalni atakujący mogą obejść uwierzytelnianie i uzyskać uprawnienia, modyfikując ciasteczko, aby odpowiadało identyfikatorowi użytkownika docelowego.
Nieokreślona podatność w funkcji ptrace w systemach SCO UnixWare 7.1.3 i 7.1.4 umożliwia lokalnym użytkownikom uzyskanie podwyższonych uprawnień poprzez nieokreślone wektory.
W HylaFAX 4.2.3, gdy wsparcie PAM jest wyłączone, hfaxd akceptuje dowolne hasła, co pozwala zdalnym atakującym na uzyskanie uprawnień.
Przepełnienie bufora w aplikacji petris przed wersją 1.0.1 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez nieokreślone wektory ataku.
Skrypt tuxpaint-import.sh w Tux Paint (tuxpaint) w wersji 0.9.14 i wcześniejszych tworzy pliki tymczasowe w sposób niebezpieczny, co może prowadzić do nieznanych skutków i wektorów ataku.
W usłudze iGateway w różnych produktach iTechnology firmy Computer Associates (CA) występuje przepełnienie bufora na stercie, które pozwala zdalnym atakującym na wykonanie dowolnego kodu. Problem dotyczy wersji iGateway przed 4.0.051230 i jest wywoływany przez żądanie HTTP z ujemnym polem Content-Length.
Wielokrotne podatności związane z formatowaniem ciągów w funkcjach logowania w mod_auth_pgsql przed wersją 2.0.3, używanych do uwierzytelniania użytkowników w bazie danych PostgreSQL, umożliwiają zdalnym, nieautoryzowanym atakującym wykonanie dowolnego kodu, co zostało zademonstrowane za pomocą nazwy użytkownika.
W IBM DB2 w wersjach 7.x i 8.1 występuje przepełnienie bufora na stosie, które może być wykorzystane przez zdalnych atakujących do wykonania dowolnego kodu poprzez podanie długiej nazwy biblioteki.
W Apple Quicktime przed wersją 7.0.4 występuje błąd niedoboru całkowitego, który pozwala zdalnym atakującym na spowodowanie awarii (denial of service) oraz potencjalne wykonanie dowolnego kodu poprzez rozmiar wpisu mapy kolorów w pliku obrazu TGA.
Przepełnienie całkowitej liczby w Apple Quicktime przed wersją 7.0.4 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez plik obrazu TIFF z zmodyfikowanymi tagami wysokości i szerokości obrazu (ImageWidth).
Kod delegata w ImageMagick w wersji 6.2.4.5-0.3 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń poprzez wykorzystanie metaznaków powłoki w nazwie pliku przetwarzanej przez polecenie display.
Klasa kontrolera SmartConnect umożliwia zdalnym atakującym spowodowanie awarii usługi (crash) Internet Explorera poprzez utworzenie obiektu COM powiązanego z CLSID tej klasy, co nie jest zamierzone do użycia w Internet Explorerze.
Kontrolka CLSID_ApprenticeICW umożliwia zdalnym atakującym spowodowanie awarii Internet Explorera poprzez utworzenie obiektu COM powiązanego z CLSID tej kontrolki, który nie jest przeznaczony do użycia w Internet Explorerze.
Wiele podatności typu SQL injection w Copernicus Europa umożliwia zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez nieznane wektory. Informacje na temat tych podatności pochodzą z niezweryfikowanych źródeł.
Wiele podatności typu cross-site request forgery (CSRF) w Yet Another PHP Image Gallery (YaPIG) w wersji 0.95b i wcześniejszych umożliwia zdalnym atakującym wykonywanie nieautoryzowanych działań jako zalogowany użytkownik. Przykładem jest oszukanie administratora, aby uzyskał dostęp do strony internetowej, która wykonuje akcję mod_info w pliku modify_gallery.php.